EU NIS2指令 ― インシデント対応体制と経営層の責任

2026年3月にこのコラムで取り上げたEUサイバーレジリエンス法（CRA）（デジタル製品に課せられた新たな法的義務と日本企業に求められる対応とは│どう向き合う？「EUサイバーレジリエンス法」）が「製品」のセキュリティを対象とする法だったのに対し、NIS2指令（Directive (EU) 2022/2555）は組織の「運営体制」に目を向けた法で、EUサイバー規制のもう1つの柱にあたります。

一見すると欧州の中だけの話に見えますが、EU域内に拠点を持つ日本企業には直接適用され、さらに取引先のサプライチェーンを通じて、域外の企業にも実務的な影響が及びます。

本稿では、NIS2の全体像をつかんだうえで、その中心にある2つのテーマ ―「経営層の責任」と「インシデント対応体制」― を、日本企業の視点から整理していきます。

1. NIS2の全体像 ― 何がどう変わったか

そもそもNIS2が生まれた背景には、旧NIS指令への反省があります。旧指令は加盟国に広い裁量を認めていたため、国ごとに要求水準がばらつき、越境で事業を行う企業は「同じ欧州なのに、国境をまたぐたびに基準が変わる」状態に置かれていました。またここ数年で、企業を狙うランサムウェア攻撃やサプライチェーン攻撃が急増し、一企業への侵害が社会全体へ波及するケースが相次ぎました。こうした状況を受け、NIS2は加盟国間の分断を解消し、EU全体で共通の最低ラインを引き直すことをねらいとしています。

NIS2は、2016年の旧NIS指令を全面的に置き換えるかたちで2023年1月に発効し、加盟国は2024年10月17日までに国内法へ移すことが求められました。旧指令からの主な変化は、次の4点に整理できます。(1) 対象分野の大幅な拡大（7分野から18分野へ）、(2) 規模基準の統一（従業員50名以上、または年間売上高1,000万ユーロ超）、(3) 罰則の下限設定、(4) 経営層の責任の明文化です。

対象となる組織は、「必須事業体（Essential entities）」と「重要事業体（Important entities）」の2つに分かれます。前者はエネルギー・運輸・銀行・金融市場インフラ・医療・上下水道・デジタルインフラ・ICTサービス管理・公共行政・宇宙など11分野、後者は郵便・廃棄物管理・化学・食品・製造・デジタルプロバイダー・研究機関など7分野です。分類によって監督の強さと罰則の上限が変わり、必須事業体では最大1,000万ユーロまたは全世界売上高の2%、重要事業体では最大700万ユーロまたは1.4%が上限とされています。

これらの事業体に求められる具体的な対策は、第21条(2)に挙げられた10項目のリスク管理措置に整理されています（下表）。特徴的なのは、サイバー攻撃だけでなく、人的ミスやシステム障害、物理的な事象までを視野に入れた「オールハザード」の考え方に立っている点です。

ただし、国内法への移行の進み具合は、加盟国によってかなり差があります。期限内に国内法制化を終えたのはベルギー・クロアチア・イタリア・リトアニアの4カ国にとどまり、2026年5月時点では27加盟国中22カ国が国内法を採択済み、フランス・アイルランド・ルクセンブルク・オランダ・スペインの5カ国はまだ立法手続きの途中です。欧州委員会は、遅れている国に対して正式通告や理由付意見といった手続きを段階的に進めています。ドイツでは2025年11月に国内法が成立し、対象となる事業体は所管当局（BSI）へ2026年4月までに登録することが求められました。日本企業にとってまず押さえておきたいのは、「どの国の、どの法律が、いつから、どの当局に適用されるのか」を、拠点ごとに確認しておくことです。

2.【第1の柱】経営層の責任 ― 第20条

従来、多くの企業ではサイバーセキュリティは情報システム部門の専門領域として扱われてきました。しかし近年は、サイバー攻撃による事業停止や情報漏えいが企業価値や株価、取引先との信頼に直接影響を及ぼすようになり、経営判断そのものが問われるリスクへと変化しています。

NIS2が旧指令と大きく違うのは、この変化を努力目標にとどめず、経営機関の責務として明確な法的義務に落とし込んだ点です。指令の第20条は、必須・重要どちらの事業体に対しても、経営機関に次の4つの義務を求めています。

1つ目は、第21条にもとづくリスク管理措置を、経営機関みずからが承認することです。形式的に追認するのではなく、「何を、なぜ承認するのか」を経営陣が理解していることが前提になります。2つ目は、その実施状況を監督すること。3つ目は、リスクを見極められるだけの知識を身につけるための研修を受けること。そして4つ目が、これらの義務を怠った場合に、経営機関の構成員が個人として責任を問われうることです。

ここで大切なのは、実務をCISOやリスク委員会に任せても、承認・監督・研修という義務そのものは経営機関に残る、という点です。「業務を任せること」と「責任を引き渡すこと」は別だと整理すると、わかりやすいかもしれません。必須事業体では、違反したときの措置として管理職の職務の一時停止までが想定されており、経営層にとっても他人事ではない仕組みになっています。とはいえ、これは経営を萎縮させるためのものではありません。監督当局が確認するのは、取締役会の議事録・研修の受講記録・報告資料といった、日々の運用の記録です。裏を返せば、サイバーリスクを定期的に議題に上げ、記録に残しておくことが、そのまま義務への対応になります。

この「経営の責任として位置づける」流れは、EUだけのものではありません。日本でも、コーポレートガバナンス・コードや経済産業省の「サイバーセキュリティ経営ガイドライン」が、早くから経営層の関与を求めてきました。2026年10月に本格施行を控える能動的サイバー防御関連の法制も、官民連携の前提として組織側の体制づくりを促しています（能動的サイバー防御法の詳細は、このコラムの既存記事をご覧ください）。NIS2は、こうした世界的な流れを、個人の責任まで含めて最も明確な法的義務のかたちにした例だといえます。

実務に落とし込むと、求められるのは特別な仕組みというよりも、経営の「型」を定着させることです。CISOが実装を担い、リスク委員会が報告を受けて助言し、経営機関が承認・監督して、その決定と根拠を議事録に残す。この役割分担と報告の流れを平時から回し、研修を就任時と定期的に受ける ― 当局が見るのは、まさにこの「日常の運用の跡」です。

言いかえれば、NIS2が本当に求めているのは「経営者がサイバーセキュリティに詳しくなること」ではありません。サイバーリスクを財務・法務・コンプライアンス・事業継続といった他の経営リスクと同じ土俵で評価し、説明責任を果たせる体制をつくることです。

3.【第2の柱】インシデント対応体制 ― 第23条

もう1つの柱が、インシデントが起きたときの報告義務です。対象になるのは「重大インシデント（significant incident）」 ― 深刻な業務の中断や金銭的な損失を招いた（またはそのおそれがある）もの、あるいは取引先や利用者といった他者に大きな損害を与えた（またはそのおそれがある）ものです。ランサムウェアによる基幹システムの停止や、大規模な情報漏えいなどが典型例です。該当する場合は、CSIRTまたはその他の所管当局へ24時間以内に報告します。報告期限がこれほど短いのは、1つの組織で起きた侵害が、サプライチェーンや同業他社へ連鎖的に広がりうるからです。早い段階で当局が状況をつかめれば、他社への注意喚起や被害の封じ込めにつながり、報告は「自社のため」であると同時に、社会全体の被害を抑える仕組みにもなります。

報告は一度きりではなく、情報の成熟度に応じて段階的に行うのが特徴です。まず、発覚から24時間以内に「早期警告」を出します。この時点では、原因まで特定できていなくてもかまいません。「何かが起きている」という第一報を早く共有することが目的です。次に、72時間以内に、初期的な影響評価を含む「インシデント通知」を提出し、最後に、原則としてインシデントから1カ月以内に、原因や講じた対策をまとめた「最終報告」を出します（インシデントが続いている場合は、求めに応じて中間報告も行います）。24時間の段階で完璧な分析を求められるわけではない ― この設計を知っておくだけでも、初動でいたずらに慌てずに済みます。

とはいえ、この「24時間・72時間・1カ月以内」は、インシデントが起きてから体制を整えていては、まず間に合いません。裏を返せば、第23条が実際に求めているのは、報告書を出すこと自体よりも、それを可能にする平時の備えです。具体的には、異常にすばやく気づく検知・監視の仕組み（情シス）、第一報を出すか、外部へ公表するかを短時間で判断できるエスカレーション経路（経営層）、そして報告の内容が各法令の要件と食い違わないよう整える体制（法務） ― この三者がかみ合ってはじめて、期限内の報告が現実になります。机上訓練で一度通しておくことが、いざというときの差になります。

迅速な報告と情報共有を求める流れは、EUに限った話ではありません。日本を含む多くの国や業界で、インシデント対応は「起きてから考えること」ではなく「あらかじめ備えておくガバナンスの共通要件」になりつつあります。第23条は、一見すると報告期限を定めた手続きの規定に見えます。しかし本当に問われているのは、有事にすばやく検知・判断・対応できる組織の「レジリエンス（回復力）」そのものなのです。

なお、実務では、他の法令との重なりにも注意が必要です。とくに個人データの漏えいを伴うインシデントでは、NIS2にもとづく当局報告とGDPRにもとづく報告が同時に発生し、報告先・期限・記載する内容もそれぞれ異なるため、初動対応の現場は複数の対応を同時に進めることになります。こうした煩雑さをやわらげるため、欧州委員会は2026年に入り、複数の法令へ「一度報告すれば足りる」ようにする単一報告窓口の構想を含む簡素化策を提案しました。今後さらに整理が進む見通しです。

4. 日本企業への要求

NIS2は「EU域外の規制」ではありますが、日本企業との接点は主に2つの経路で生まれます。1つは直接適用で、EU域内に対象規模の拠点を持つ場合です。もう1つは、サプライチェーンを通じた波及です。先ほど触れたとおり、第21条はリスク管理措置の1つとしてサプライチェーンのセキュリティを挙げており、対象事業体は取引先や委託先にも同じ水準のセキュリティを求めます。その結果、直接の適用対象ではない日本のサプライヤーであっても、契約の要件というかたちで、実質的な対応を求められる場面が増えていきます。

自社が「どちらの立場か」によって、見るべきポイントは変わります。経営層・法務・情シスのそれぞれについて、「自社は対象か」「何を求められるか」「最初に着手すること」を、2つの企業タイプ別に整理しました。

なお、表の「自社は対象か」はあくまで着眼点で、最終的な該当性は各国の国内法によって決まります。実際の判断には、現地の法令や専門家への確認が欠かせません。いずれのタイプでも出発点は同じで、直接適用は拠点の所在国・分野・規模を、サプライチェーン波及は主要取引先の該当性と契約条件を棚卸ししたうえで、経営層がこのテーマを「自分たちの議題」として受け止めることが、対応のスピードと質を大きく左右します。

まとめ ― セキュリティは、経営そのものの一部

あらためて振り返ると、NIS2が掲げる2つの柱 ― 経営層の関与と、インシデント対応体制を前もって整えること ― は、突きつめると1つのことを求めています。それは、サイバーセキュリティを経営から切り離さず、財務や事業継続と同じように、評価し、説明できる対象として扱うことです。これは特定の法令への対応にとどまらず、有事にも事業を止めないための「レジリエンス」への投資でもあります。同じ考え方は、CRAや日本の能動的サイバー防御の法制にも通じています。規制の条文を細かく追うこと以上に、「セキュリティは経営そのものの一部だ」という視点を社内で共有しておくこと ― それが、これからの企業にとって何より大切になっていくはずです。

直接の適用対象かどうかにかかわらず、NIS2 の理解は単なる海外法規制への備えではなく、企業の信頼性と競争力を高める基盤づくりと位置づけられます。世界の規制動向も、最終的に「経営責任」「リスク管理」「迅速な対応」「サプライチェーン管理」という4つの方向へ収斂しつつあります。

CTCでは、長年にわたるセキュリティ運用の支援やコンサルティングの知見を生かしながら、企業ごとの事業特性やリスクに応じたセキュリティ対策の設計・実装を支援しています。今回のNIS2指令への対応を、自社のセキュリティ成熟度を高める機会として活用する ― そのための伴走支援を提供していきます。

※本記事の内容は2026年6月時点の情報に基づいています。政省令・ガイドラインの策定状況により内容が変わる可能性がありますので、最新の公式発表もあわせてご確認ください。

参照資料・関連リンク

本制度について、より正確かつ詳細な一次情報を確認したい方に向けて、中立的な立場で情報を提供している政府や団体の当該情報へのリンクを抜粋し掲載しました。

■欧州連合（EU）：公式法令データベース

（出典：EUR-Lex）

EU法に関する幅広い一次資料と関連情報の検索・閲覧が可能です。EU法令の正式な公布媒体として機能しています（英文）。

■欧州連合（EU）：EUデジタル戦略（EU Digital Strategy）

（出典：NIS2 Directive transposition in EU countries）

NIS2指令を、EU加盟国27カ国がそれぞれの国内法として制定・整備（トランスポジション＝国内法化）するプロセスや状況が確認できます（英文）。

■国立国会図書館

（出典：国立国会図書館外国の立法「高度な共通水準のサイバーセキュリティ指令（NIS2指令）の制定」）

国立国会図書館が、国会議員・政府職員・研究者向けに発行する海外の立法動向のレポートで、リンクはNIS2指令が取り上げられた際のものです。

■情報処理推進機構（IPA）

（出典：IPA 「情報セキュリティ白書 2025年版」）

第4章で欧州におけるサイバーセキュリティ政策の動向としてNIS2指令が解説されています。

■経済産業省・独立行政法人情報処理推進機構（IPA）

（出典：経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」）

サイバー攻撃から企業を守るため、経営者がリーダーシップを発揮して取り組むべき指針として経済産業省と独立行政法人情報処理推進機構（IPA）が策定したガイドラインです。